ความปลอดภัย Cloud Server คือการป้องกันเซิร์ฟเวอร์บนคลาวด์ตั้งแต่การควบคุมว่าใครเข้าระบบได้ การปิดช่องทางที่ไม่จำเป็น ไปจนถึงการสำรองข้อมูลให้กู้คืนได้เมื่อเกิดเหตุ ผู้ให้บริการดูแลความปลอดภัยของ Data Center และโครงสร้างพื้นฐาน ส่วนการตั้งค่าภายในเครื่องเป็นหน้าที่ของผู้ใช้งาน
บทความนี้รวม 6 ขั้นตอนเพิ่มความปลอดภัย Cloud Server สำหรับทั้งเจ้าของธุรกิจและทีมไอที โดยแยกรายละเอียดเทคนิคไว้ในส่วน "สำหรับทีมไอที"
ความปลอดภัย Cloud Server เป็นหน้าที่ของใคร
หลายธุรกิจเข้าใจว่าผู้ให้บริการคลาวด์ดูแลความปลอดภัยให้ทั้งหมด แต่ในทางปฏิบัติ ความปลอดภัย Cloud Server ถูกแบ่งความรับผิดชอบเป็นสองฝั่ง ตามหลักที่เรียกว่า Shared Responsibility Model
| ส่วนที่ต้องดูแล | ผู้ให้บริการคลาวด์ | ธุรกิจผู้ใช้งาน |
|---|---|---|
| อาคาร Data Center ไฟฟ้า ระบบทำความเย็น | ✅ | |
| ฮาร์ดแวร์และเครือข่ายหลัก | ✅ | |
| ระบบปฏิบัติการและการอัปเดต | ✅ | |
| บัญชีผู้ใช้ รหัสผ่าน สิทธิ์การเข้าถึง | ✅ | |
| Firewall ภายในเครื่องและพอร์ตที่เปิด | ✅ | |
| ข้อมูลและการสำรองข้อมูล | ✅ |
ขอบเขตจริงขึ้นกับประเภทบริการและสัญญาที่ใช้ ถ้าไม่มีทีมไอทีดูแลฝั่งผู้ใช้งานเอง สามารถใช้บริการ Managed Service (MSP) ให้ผู้เชี่ยวชาญดูแลส่วนนี้แทนได้
ขั้นตอนที่ 1: จำกัดสิทธิ์การเข้าถึงและเปิด MFA
จุดอ่อนแรกของความปลอดภัย Cloud Server มักเป็นรหัสผ่านที่เดาง่าย หรือรหัสผ่านที่หลุดจากเว็บอื่นแล้วถูกนำมาใช้ซ้ำ การเปิด Multi-Factor Authentication (MFA) ทำให้แม้รหัสผ่านหลุด ผู้ไม่หวังดีก็ยังเข้าระบบไม่ได้
- ให้แต่ละคนมีบัญชีของตัวเอง ห้ามใช้บัญชีผู้ดูแลร่วมกัน
- ให้สิทธิ์เท่าที่จำเป็นกับงาน (Least Privilege)
- ปิดบัญชีของพนักงานที่ลาออกทันที
สำหรับทีมไอที
บน Linux ให้ใช้ SSH Key แทนรหัสผ่าน แล้วตั้งค่าใน /etc/ssh/sshd_config เป็น PasswordAuthentication no และ PermitRootLogin no บน Windows ให้เปิด Network Level Authentication สำหรับ RDP และบังคับใช้ MFA กับบัญชีผู้ดูแลระบบทุกบัญชี
ขั้นตอนที่ 2: ตั้ง Firewall ปิดพอร์ตที่ไม่ใช้
เซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ตถูกสแกนหาช่องโหว่อยู่ตลอดเวลา ทุกพอร์ตที่เปิดทิ้งไว้คือประตูที่ต้องเฝ้า หลักของความปลอดภัย Cloud Server ในชั้นนี้คือปิดทุกพอร์ตก่อน แล้วเปิดเฉพาะที่ระบบใช้จริง
สำหรับทีมไอที
ตัวอย่างการตั้งค่า Firewall ที่ช่วยเพิ่มความปลอดภัย Cloud Server
- เว็บเซิร์ฟเวอร์ทั่วไปเปิดแค่ 80 และ 443 ต่อสาธารณะ
- พอร์ตผู้ดูแลระบบ เช่น SSH (22) หรือ RDP (3389) ให้อนุญาตเฉพาะ IP ของออฟฟิศ หรือเข้าผ่าน VPN เท่านั้น
- ฐานข้อมูลไม่ควรเปิดพอร์ตสู่อินเทอร์เน็ตโดยตรง ให้เชื่อมผ่านเครือข่ายภายใน
ขั้นตอนที่ 3: อัปเดต Patch ระบบปฏิบัติการและซอฟต์แวร์
ช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะมักถูกนำไปใช้โจมตีภายในเวลาไม่นาน ระบบที่ไม่ได้อัปเดตจึงเสี่ยงที่สุด การวางรอบอัปเดตที่ชัดเจนเป็นพื้นฐานของความปลอดภัย Cloud Server ที่ทำได้ทันทีและแทบไม่มีค่าใช้จ่าย
- กำหนดรอบอัปเดตประจำ เช่น ทุกเดือน และอัปเดตฉุกเฉินเมื่อมีช่องโหว่ร้ายแรง
- อัปเดตทั้งระบบปฏิบัติการ เว็บเซิร์ฟเวอร์ ฐานข้อมูล และปลั๊กอินต่างๆ
- ทำ Snapshot ไว้ก่อนอัปเดตระบบจริงทุกครั้ง
ติดตามประกาศช่องโหว่และคำแนะนำภาษาไทยได้จาก ThaiCERT
ขั้นตอนที่ 4: เข้ารหัสข้อมูลทั้งขณะส่งและขณะจัดเก็บ
การเข้ารหัสเป็นชั้นของความปลอดภัย Cloud Server ที่ทำให้ข้อมูลที่ถูกขโมยไปอ่านไม่ออก แบ่งเป็นสองส่วนที่ต้องทำคู่กัน
- ขณะส่ง (In Transit) ใช้ HTTPS กับเว็บไซต์และ API ทุกตัว และใช้การเชื่อมต่อแบบเข้ารหัสกับฐานข้อมูล
- ขณะจัดเก็บ (At Rest) เข้ารหัสดิสก์หรือคอลัมน์ที่เก็บข้อมูลอ่อนไหว เช่น เลขบัตรประชาชน เบอร์โทรศัพท์ ข้อมูลสุขภาพ
เก็บกุญแจเข้ารหัสแยกจากข้อมูลเสมอ ถ้าเก็บไว้ในเครื่องเดียวกัน การเข้ารหัสจะแทบไม่ช่วยอะไรเมื่อเครื่องถูกเจาะ